TTP

🏢 Contexte Kubota USA a publié le 3 juillet 2026 sur son site officiel un avis d’incident de sécurité concernant un accès non autorisé à certains systèmes réseau survenu entre le 16 mars 2026 et le 20 avril 2026. 🔍 Déroulement de l’incident Détection initiale : Kubota identifie l’accès non autorisé et sécurise son réseau dès la découverte de l’incident. 30 avril 2026 : Kubota découvre que des fichiers gérés par l’équipe des ressources humaines ont été accédés durant l’incident. 16 juin 2026 : Après revue approfondie, Kubota confirme qu’un ou plusieurs fichiers contenaient des informations personnelles d’employés et de leurs ayants droit. 📋 Données potentiellement compromises Pour les employés : ...

📰 Source : BleepingComputer — Date de publication : 1er juillet 2026 🏭 Contexte : Kubota North America Corporation, division américaine du fabricant industriel japonais Kubota (équipements agricoles et de construction, 52 000 employés, 20 milliards de dollars de chiffre d’affaires annuel), a divulgué un incident de sécurité ayant affecté ses systèmes réseau. 🕵️ Déroulement de l’incident : Un acteur malveillant non identifié a eu accès à certains systèmes réseau de l’entreprise du 16 mars au 20 avril, soit une durée de plus d’un mois. L’investigation a permis de déterminer que des fichiers contenant des informations personnelles d’employés et de leurs ayants droit ont été consultés. ...

🏛️ Contexte Source : KrebsOnSecurity, publié le 2 juillet 2026. Le FBI, en coordination avec l’IRS Criminal Investigation et plusieurs partenaires industriels (Google, Lumen, Shadowserver), a procédé à la saisie de centaines de domaines associés à NetNut, un service de proxy résidentiel opéré par la société israélienne cotée en bourse Alarum Technologies (NASDAQ: ALAR). 🎯 Nature de la menace NetNut est identifié comme l’infrastructure commerciale reposant sur le botnet Popa, un réseau d’au moins deux millions d’appareils compromis (smart TVs, boîtiers de streaming Android) transformés en nœuds de proxy résidentiels permanents sans consentement des victimes. Ces nœuds sont loués à des tiers pour : ...

🏥 Contexte Source : BleepingComputer, publié le 2 juillet 2026. Medtronic, fabricant mondial de dispositifs médicaux opérant dans 150 pays avec un chiffre d’affaires annuel de 33,5 milliards de dollars et 95 000 employés, a notifié ses clients d’une violation de données ayant exposé leurs informations personnelles à un tiers non autorisé. 📅 Chronologie de l’incident 13 avril 2026 : début de l’accès non autorisé aux systèmes IT de Medtronic 15 avril 2026 : Medtronic détecte une activité inhabituelle sur ses systèmes 18 avril 2026 : ShinyHunters publie Medtronic sur son portail d’extorsion dark web avec une menace de divulgation 19 avril 2026 : fin de la période d’accès non autorisé confirmée par l’enquête 21 avril 2026 : date limite fixée par ShinyHunters pour le paiement de la rançon Fin avril 2026 : suppression de l’entrée Medtronic du portail ShinyHunters 🔓 Données exposées Les données potentiellement compromises incluent : ...

🛡️ Contexte Publié le 2 juillet 2026 sur le blog officiel de sécurité d’Opera (blogs.opera.com), cet article annonce le lancement de Paste Protect, une fonctionnalité de sécurité native intégrée directement dans le navigateur Opera, présentée comme une première dans l’industrie des navigateurs majeurs. 🎯 Menace ciblée : ClickFix ClickFix est une technique d’ingénierie sociale en forte croissance qui consiste à tromper l’utilisateur pour qu’il exécute lui-même des commandes malveillantes via son terminal. Le vecteur d’attaque repose sur le détournement du presse-papiers : ...

🔍 Contexte En mai 2026, FortiGuard Labs a identifié une campagne active du trojan bancaire Ousaban ciblant spécifiquement les utilisateurs en Espagne et au Portugal. L’article, publié le 1er juillet 2026, constitue une analyse technique approfondie de cette campagne géolocalisée. 🎯 Vecteur d’infection et chaîne d’attaque La chaîne d’attaque se déroule en plusieurs étapes : PDF de phishing : déguisé en fichier corrompu, il incite la victime à cliquer sur un bouton « Atualizar » (Mettre à jour) via un message trompeur. Un code JavaScript hex-escapé redirige également vers la même page malveillante. Page web malveillante : se fait passer pour une source légitime de documents fiscaux. Elle effectue des vérifications d’environnement côté serveur (langue, fuseau horaire, IP, résolution d’écran, rendu navigateur, énumération de polices) pour restreindre l’accès aux seuls utilisateurs en Espagne et au Portugal. Les IP liées à des VPN sont bloquées. Fichier VBS : téléchargé si l’environnement passe la vérification. Il contient de nombreux appels de fonctions bénins pour masquer le code malveillant, puis télécharge une image stéganographique (ressemblant à une icône PDF) contenant un fichier ZIP avec le payload Ousaban. Payload EXE : déposé dans C:\SysMain_5874288 et exécuté. Les fichiers ZIP, image et VBS sont supprimés après exécution. 🦠 Comportement d’Ousaban Persistance : création d’une valeur de registre nommée Financeiro dans CurrentVersion\Run Marqueur d’installation : création d’un fichier vide maisum.dat Ciblage bancaire : déchiffrement de chaînes liées à des services bancaires pour surveiller l’accès aux banques cibles Algorithme de chiffrement custom : partagé avec d’autres trojans bancaires latino-américains comme Casbaneiro, basé sur XOR avec offset aléatoire Résolution C2 dynamique : utilisation de DDNS avec sous-domaines changeant quotidiennement (préfixe aki + 8 premiers caractères d’un hash MD5 basé sur la date et une chaîne hardcodée). La date est obtenue en accédant à la page Google Automated Queries. Leurre Pastebin : un lien Pastebin contenant une IP privée est déchiffré mais sert de leurre ; la vraie résolution C2 passe par les domaines DDNS. Commandes C2 : #Convite# (collecte d’infos), #Handle# (ID victime), #ON-LINE# (heartbeat), #xyScree# (résolution écran), #Iniciar# (capture d’écran, contrôle à distance, keylogger, injection clipboard) 📅 Variantes fin 2025 Des variantes de fin 2025 utilisaient : ...

🗓️ Contexte Source : The Record (Recorded Future News), publié le 3 juillet 2026. L’information repose sur un rapport du Citizen Lab rendu public le même jour, faisant suite à l’analyse forensique du téléphone de l’eurodéputé grec Stelios Kouloglou, conduite en mai 2026. 🎯 Faits principaux Le téléphone de Kouloglou a été infecté par Pegasus, un spyware zero-click développé par le NSO Group, à deux reprises : Octobre 2022 : première infection, survenue moins d’une semaine avant une série d’auditions du comité PEGA et la publication d’un projet de rapport. Mars 2023 : deuxième infection, lors de discussions intenses sur le rapport final du comité. Kouloglou était membre du comité PEGA (Parlement européen), chargé d’enquêter sur les abus des logiciels espions commerciaux en Europe. Le comité a publié ses recommandations en mai 2023. ...

🗓️ Contexte Source : The Cyber Express, publié le 2 juillet 2026. L’article rapporte quatre incidents de cybersécurité distincts survenus au Japon durant la seconde quinzaine de juin 2026, affectant des entreprises de secteurs variés. 🏢 Organisations touchées et détails des incidents Aflac Japan : accès non autorisé entre le 15 et le 25 juin 2026, exposant environ 4,38 millions de clients et agents, dont des données bancaires liées aux paiements de primes d’assurance. L’incident est limité aux opérations japonaises. Les tactiques observées ressemblent à celles associées à Scattered Spider (ingénierie sociale). ...

📰 Source : City of London Police / Report Fraud — publié le 29 juin 2026, dans le cadre d’une campagne de sensibilisation nationale au Royaume-Uni. 📊 Chiffres clés 323 organisations ont signalé une attaque par ransomware entre avril 2025 et mars 2026, soit plus de 26 attaques par mois. Plus de 50% des victimes sont des PME (175 signalements). Les pertes financières déclarées s’élèvent à environ £270 000, en hausse de 50% par rapport à l’année précédente. Ces chiffres sont jugés sous-estimés en raison de la sous-déclaration liée aux risques de conformité et à la stigmatisation des paiements de rançon. 🏭 Secteurs les plus touchés (parmi les rapports avec secteur renseigné) : ...

🔍 Contexte L’article est publié le 2 juillet 2026 par la Flashpoint Intel Team sur le blog de Flashpoint. Il analyse l’émergence de Remus Stealer, un nouvel infostealer commercialisé sur des marchés cybercriminels souterrains depuis mars 2026, et examine ses similitudes avec le malware Lumma. 🧩 Description de Remus Stealer Remus est proposé selon un modèle Malware-as-a-Service (MaaS) à trois niveaux tarifaires : Basic : 250 USD Pro : 500 USD Enterprise : 1 000 USD Il intègre des fonctionnalités classiques des infostealers modernes, notamment : ...